CVE-2026-119958 : LDAP Windows RCE CVSS 9.8 — AD exposé

Les faits

Le 10 novembre 2026, Microsoft a publié ses mises à jour de sécurité mensuelles — le Patch Tuesday — couvrant 1 094 vulnérabilités recensées sur l'ensemble de son écosystème logiciel. Dans ce volume sans précédent, CVE-2026-119958 se distingue comme l'une des failles les plus dangereuses : une vulnérabilité d'exécution de code à distance (RCE) affectant le composant LDAP (Lightweight Directory Access Protocol) de Windows, avec un score CVSS v3 de 9.8 sur 10.

La faille repose sur un dépassement d'écriture hors limites (CWE-787, out-of-bounds write). Un attaquant non authentifié peut déclencher l'exécution de code arbitraire en envoyant des paquets LDAP spécialement forgés au système cible, sans aucune interaction de la part d'un utilisateur. L'attaque est entièrement distante, exploitable sur le réseau, sans compte valide ni accès physique préalable. Ces trois caractéristiques — non authentifiée, sans interaction utilisateur, exploitable à distance — représentent le scénario idéal pour un acteur malveillant cherchant à s'implanter rapidement dans un système d'information.

LDAP est le protocole au coeur d'Active Directory (AD), l'annuaire d'authentification centralisé utilisé par la quasi-totalité des entreprises mondiales fonctionnant sous Windows. Les contrôleurs de domaine exposent LDAP en permanence sur les ports TCP/389 (en clair) et TCP/636 (LDAPS, version TLS). Ces ports sont ouverts par conception : ils doivent être accessibles à l'ensemble des machines membres du domaine. Selon l'analyse publiée par CrowdStrike le 10 novembre 2026, chaque contrôleur de domaine est par définition exposé à CVE-2026-119958 dès lors qu'un attaquant dispose d'un accès réseau au segment où il réside.

Compromettre un contrôleur de domaine via CVE-2026-119958, c'est obtenir les clés du royaume. L'attaquant accède à l'annuaire complet de l'entreprise, contrôle les politiques de groupe (GPO), crée des comptes administrateurs fantômes indétectables, extrait les condensats de mots de passe (hashes NTLM) de tous les utilisateurs du domaine, et peut se propager latéralement vers l'intégralité des ressources du domaine en quelques minutes. C'est précisément le scénario de compromission totale — domain takeover — que recherchent les opérateurs de ransomware avant de déployer leurs charges utiles.

D'autres vulnérabilités critiques du même Patch Tuesday amplifient la menace. CVE-2026-118207 est un RCE dans Microsoft Exchange Server permettant à un attaquant authentifié d'exécuter du code arbitraire sur le serveur de messagerie. CVE-2026-119971 affecte Windows Schannel, la couche TLS/SSL native de Windows, avec un CVSS identique de 9.8. Ensemble, ces trois failles forment un triptyque redoutable permettant à un attaquant de progresser du réseau vers le contrôleur de domaine, puis vers les messageries et les serveurs Windows de l'organisation.

Microsoft a classé CVE-2026-119958 comme non exploitée et non divulguée publiquement au moment de la publication du patch, le 10 novembre 2026. Rapid7 partage cette évaluation dans son analyse publiée le même jour, estimant la probabilité d'exploitation comme moins probable à court terme. Cependant, l'historique des failles LDAP critiques enseigne la prudence : CVE-2021-26877 et CVE-2021-26897, deux RCE LDAP de 2021, avaient rapidement été intégrées dans des outils d'exploitation largement diffusés, notamment dans des kits utilisés par des groupes APT russes et iraniens.

La faille affecte toutes les versions de Windows Server encore sous support actif : Windows Server 2016, 2019, 2022 et 2025. Les systèmes clients — Windows 10 et Windows 11 — peuvent également être concernés s'ils exécutent le service LDAP, bien que cette configuration soit rare sur les postes de travail. Les correctifs sont distribués via Windows Update, le catalogue Microsoft Update et WSUS pour les environnements sans accès Internet direct.

L'Agence américaine de cybersécurité (CISA) n'a pas encore ajouté CVE-2026-119958 à son catalogue KEV (Known Exploited Vulnerabilities) au 12 novembre 2026. Elle a toutefois rappelé dans son bulletin du 10 novembre que les agences fédérales devaient appliquer l'ensemble des correctifs Patch Tuesday avant le 24 novembre 2026. L'entrée au catalogue KEV serait le signal d'une exploitation confirmée en conditions réelles — moment à partir duquel la fenêtre d'action se réduit drastiquement.

Impact et exposition

L'exposition à CVE-2026-119958 est massive. Toute organisation disposant d'une infrastructure Active Directory — c'est-à-dire la grande majorité des entreprises de plus de 50 salariés fonctionnant sous Windows — est potentiellement affectée. Les contrôleurs de domaine non patchés accessibles depuis un segment réseau non de confiance (VPN sans MFA, segment invité, réseau d'un prestataire avec accès LAN) sont en première ligne.

Les PME sont particulièrement exposées : elles disposent rarement d'une équipe dédiée au patch management et les délais d'application des correctifs peuvent atteindre plusieurs semaines, voire plusieurs mois. Les ETI et grandes entreprises bénéficient généralement de processus structurés mais font face à des contraintes de disponibilité qui ralentissent l'application des correctifs sur les contrôleurs de domaine, souvent critiques pour la production.

Recommandations

• Appliquer immédiatement les correctifs Patch Tuesday novembre 2026 sur tous les contrôleurs de domaine, en planifiant des fenêtres de maintenance d'urgence si nécessaire
• Vérifier l'exposition LDAP : auditer les règles de pare-feu pour confirmer que les ports 389 et 636 ne sont pas accessibles depuis Internet ou des segments non de confiance
• Activer la signature LDAP et le channel binding LDAP sur tous les contrôleurs de domaine via les GPO (recommandés par Microsoft depuis 2020)
• Surveiller les logs d'événements LDAP (Event ID 2886, 2887, 2888, 2889) et mettre en place des alertes sur les requêtes LDAP malformées ou les connexions depuis des sources inhabituelles
• Isoler les contrôleurs de domaine dans des VLAN dédiés avec des ACL strictes limitant l'accès LDAP aux seuls systèmes légitimes